Abo
  • IT-Karriere:

Kernel: Security-Entwickler fühlt sich von Linux-Community zermalmt

Der Security-Entwickler Alexander Popov berichtet auf dem Open Source Summit von seiner Zusammenarbeit mit der Linux-Kernel-Community. Er fühle sich dabei wie zwischen Mühlsteinen zermalmt. Das liege wohl auch daran, dass die Community zwischen normalen Menschen und Security-Leuten trenne.

Artikel veröffentlicht am ,
Alexander Popov sucht Sicherheitslücken in Linux.
Alexander Popov sucht Sicherheitslücken in Linux. (Bild: The Linux Foundation)

Sicherheitspatches und generelle Verbesserungen am Linux-Kernel, die vor bestimmten Angriffen schützen sollen, werden von der Linux-Community nicht anders behandelt als alle anderen Änderungen am Kernel auch. Das ist vor allem auf eine generelle Einstellungen der Kernel-Betreuer zurückzuführen - allen voran Linux-Projektgründer und -Leiter Linus Torvalds. Der Sicherheitsexperte und Kernel-Entwickler Alexander Popov hat dies auf dem Open Source Summit in Edinburgh so kommentiert, dass er sich dabei jedoch wie zwischen Mühlsteinen zerdrückt fühle.

Stellenmarkt
  1. Stiegelmeyer GmbH & Co. KG, Herford
  2. Landratsamt Lindau, Lindau am Bodensee

Popov führt das unter anderem auch darauf zurück, dass es in der Kernel-Community einen Unterschied gebe zwischen "normalen Menschen und Security-Entwicklern". Diese Trennung führe immer wieder zu tiefgreifenden Problemen und Auseinandersetzungen in Bezug auf die Herangehensweise bei der Linux-Entwicklung. Dass die Sicherheitsentwickler des Patch-Sets Grsecurity oder auch die Beteiligten des Kernel Self Protecting Project (KSPP) immer wieder vom Rest der Kernel-Community kritisiert werden, nimmt Popov inzwischen offenbar aber resigniert hin. "Das ist halt unser Leben, und das ist okay", sagt Popov.

Monatelange Arbeit an einer Funktion

Der Entwickler arbeitet für die Sicherheitsexperten von Positive Technologies, die vor allem im vergangenen Jahr teilweise gravierende Sicherheitslücken in Intels ME aufgefunden haben. Popov selbst sucht eigentlich nach möglichen Sicherheitslücken in Linux und nach Wegen, diese auszunutzen. Seit April 2017 versucht Popov darüber hinaus aber auch, eine der Sicherheitstechniken von Grsecurity so aufzuarbeiten, dass diese in den sogenannten Mainline-Kernel eingepflegt werden kann, also den Hauptzweig der Linux-Entwicklung.

Diese Arbeiten sind immer noch nicht offiziell abgeschlossen, auch wenn sich diese inzwischen absehbar dem Ende nähern. Der Code von Popov befindet sich inzwischen in Linux-Next und sollte mit der kommenden Version 4.20 eingepflegt werden, dessen Entwicklungsphase gerade erst offiziell beginnt. Der Weg dahin war aber alles andere als einfach und Popov war eigenen Angaben zufolge mehrmals kurz davor, die Arbeiten daran aufzugeben.

Als Popov im vergangenen Jahr glaubte, die Patches seien inzwischen soweit gediehen, dass diese eingepflegt werden könnten, ist der Code von Torvalds "niedergebrannt" worden, wie Popov in einem Vortrag beim Linux Security Summit sagte. Nach dieser Interaktion habe sich der Entwickler "für mehrere Wochen emotional tot" gefühlt. Nur mit Unterstützung seiner Frau habe Popov dann daran arbeiten können, die in den E-Mails geäußerten persönlichen Angriffe von der technischen Kritik trennen zu können, um sich weiter auf seine Arbeit zu konzentrieren.

Wenig Wertschätzung und große Irritationen

Popov geht aber weiter davon aus, dass seine Arbeit und die anderer Security-Entwickler nicht wertgeschätzt werde. Möglicherweise seien die Fortschritte zum Härten des Kernels auch eine große Irritation für Torvalds und andere, sodass damit auch die Wahrscheinlichkeit steige, dass die Patches dafür schlicht abgelehnt würden. Der Grund dafür, dass diese Irritation entsteht, könnte laut Popov sein, dass die Security-Entwickler eben von den normalen Leuten getrennt sind, wie er den Rest der Kernel-Community nennt.

Um diese Spaltung zu überwinden, schlägt der Sicherheitsexperte vor, möglicherweise mit einer Roadmap zu arbeiten, die die Pläne für das Härten des Kernels besser darstellen und so für andere leichter nachvollziehbar machen. Außerdem hätte Popov gern eine Art Auflistung von akzeptierten Verhaltensweisen, die sich die normalen Maintainer von den Sicherheitsentwicklern wünschen. Auch damit sollen die Irritationen offenbar vermieden oder wenigstens verringert werden.

Noch glaubt Popov zwar, dass dieses Vorgehen helfen könnte, ist sich aber nicht sicher, ob dies auch tatsächlich umsetzbar ist. Wahrscheinlicher sei wohl eher, dass große Unternehmen und Organisationen die Umsetzung bestimmter Sicherheitsfunktionen einfordern, was in Teilen bereits passiert. Bis sich die Situation von Popov und seinen Mitstreitern grundsätzlich ändert, genießt er noch die "Freude am Kampf", wie er selbst sagt. Das klingt glücklicherweise nicht so, als hätte Popov seine Motivation an der Arbeit verloren.



Anzeige
Top-Angebote
  1. 799,90€
  2. (u. a. Guild Wars 2 - Path of Fire 15,99€, PUBG Survivor Pass 3 6,99€, Die Sims 4 10,99€)
  3. (aktuell u. a. NZXT H500 Overwatch Special Edition Gehhäuse 129,90€, NZXT RGB Kit 79,90€)
  4. (Monitore ab 147,99€ und Laptops ab 279,00€)

janoP 29. Okt 2018

Persönlich kenne ich keinen der Beteiligten, ich schätze es von außen aber so ein, dass...

demon driver 27. Okt 2018

Es wurde also etwas in den Kernel einzubringen versucht, was behebbare Mängel in der...

mnementh 26. Okt 2018

Was denn, Popov hat durch die Diskussion eine bessere Lösung gefunden. Und dann war da...

mnementh 26. Okt 2018

Ich unterstütze diese kompromisslose Haltung. Nur was hat das mit dem Artikel zu tun...

azeu 26. Okt 2018

Beim "Verteidigen zivilisierter Normen" - wie Du es so schön ausdrückst - kommt es...


Folgen Sie uns
       


B-all One für Magic Leap - Gameplay

Ein Squash-Spiel zeigt, wie gut bei Magic Leap das Mapping der Umgebung und das Tracking unserer Position klappt.

B-all One für Magic Leap - Gameplay Video aufrufen
P30 Pro im Kameratest: Huawei baut die vielseitigste Smartphone-Kamera
P30 Pro im Kameratest
Huawei baut die vielseitigste Smartphone-Kamera

Huawei will mit dem P30 Pro seinen Vorsprung vor den Smartphone-Kameras der Konkurrenez ausbauen - und schafft es mit einigen grundlegenden Veränderungen.
Ein Test von Tobias Költzsch

  1. P30 Pro Teardown gewährt Blick auf Huaweis Periskop-Teleobjektiv
  2. CIA-Vorwürfe Huawei soll von chinesischer Regierung finanziert werden
  3. Huawei-Gründer "Warte auf Medikament von Google gegen Sterblichkeit"

Raspi-Tastatur und -Maus im Test: Die Basteltastatur für Bastelrechner
Raspi-Tastatur und -Maus im Test
Die Basteltastatur für Bastelrechner

Für die Raspberry-Pi-Platinen gibt es eine offizielle Tastatur und Maus, passenderweise in Weiß und Rot. Im Test macht die Tastatur einen anständigen Eindruck, die Maus hingegen hat uns eher kaltgelassen. Das Keyboard ist zudem ein guter Ausgangspunkt für Bastelprojekte.
Ein Test von Tobias Költzsch

  1. Bastelcomputer Offizielle Maus und Tastatur für den Raspberry Pi
  2. Kodi mit Raspberry Pi Pimp your Stereoanlage
  3. Betriebssystem Windows 10 on ARM kann auf Raspberry Pi 3 installiert werden

Online-Banking: In 150 Tagen verlieren die TAN-Zettel ihre Gültigkeit
Online-Banking
In 150 Tagen verlieren die TAN-Zettel ihre Gültigkeit

Zum 14. September 2019 wird ein wichtiger Teil der Zahlungsdiensterichtlinie 2 für die meisten Girokonto-Kunden mit Online-Zugang umgesetzt. Die meist als indizierte TAN-Liste ausgegebenen Transaktionsnummern können dann nicht mehr genutzt werden.
Von Andreas Sebayang

  1. Banking-App Comdirect empfiehlt, Sicherheitswarnung zu ignorieren

    •  /